Pasukan Dalaman berbanding Syarikat Keselamatan Siber Luar: Pilihan Manakah yang Lebih Praktikal?
Setiap Ketua Pegawai Maklumat (CIO) di Malaysia menghadapi soalan yang sama: membina pasukan pentest dalaman atau menyerahkan tugas itu kepada syarikat keselamatan siber luar? Jawapannya bukan pilihan antara dua perkara sahaja. Panduan ini memperincikan kos sebenar 3 tahun bagi kedua-dua pilihan, menerangkan keperluan kebebasan audit yang dituntut oleh pengawal selia, dan menggariskan model hibrid yang berfungsi bagi kebanyakan organisasi bersaiz sederhana hingga besar di Malaysia. Panduan ini turut merangkumi peranan vCISO sebagai jambatan strategik antara pasukan dalaman dengan pembekal luar.
Apakah yang Anda Bayar untuk Pasukan Dalaman?
Membina pasukan pentest dalaman bukan sekadar membayar gaji. Komponen kos sebenar termasuk gaji asas dan caruman KWSP/PERKESO, latihan dan sijil berterusan (OSCP, OSWE, GPEN), alat berlesen (Burp Suite Pro, Tenable, Cobalt Strike, Frida Pro), persekitaran ujian terkawal, langganan risikan ancaman serta masa pengurusan.
Bagi pasukan dua orang di Lembah Klang pada kadar gaji pasaran 2026 (penguji kanan yang berpengalaman 6 tahun ke atas dan penguji muda yang berpengalaman 2–3 tahun), gaji asas sekitar RM30,000–RM40,000 sebulan bagi penguji kanan dan RM12,000–RM16,000 bagi penguji muda. Setelah ditambah KWSP, PERKESO, SIP (EIS), insurans dan elaun, kos majikan adalah ~30% lebih tinggi daripada gaji kasar.
Latihan dan sijil ialah pelaburan berterusan. Sijil OSCP berharga sekitar USD1,500–USD2,000 bagi setiap percubaan, dengan kursus tambahan untuk OSWE, OSED dan CRTO. Latihan tahunan untuk kedua-dua jurutera secara realistik berjumlah RM30,000–RM50,000 setahun bagi pasukan yang ingin kekal relevan.
TCO 3 Tahun: Jadual Perbandingan
Untuk memahami kedua-dua pilihan secara konkrit, jadual berikut memperincikan kos 3 tahun bagi kedua-dua pendekatan, berdasarkan keperluan organisasi bersaiz sederhana yang lazim di Malaysia: 5 aplikasi web kritikal, 1 aplikasi mudah alih, infrastruktur awan sederhana serta keperluan audit BNM atau ISO 27001 setiap tahun.
| Komponen | Dalaman (3 tahun) | Penyumberan Luar (3 tahun) |
|---|---|---|
| Gaji, KWSP dan faedah | ~RM2,000,000–RM2,600,000 | — |
| Latihan dan sijil | ~RM120,000 | — |
| Alat berlesen | ~RM200,000 | — |
| Persekitaran ujian | ~RM60,000 | — |
| Pentest tahunan (5 aplikasi web) | — | ~RM450,000 |
| Pentest mudah alih tahunan | — | ~RM120,000 |
| Pentest awan tahunan | — | ~RM90,000 |
| Pasukan merah atau pasukan ungu (purple team) | — | ~RM300,000 |
| Pengurusan pasukan | ~RM150,000 | ~RM30,000 |
| JUMLAH ANGGARAN | ~RM2,530,000–RM3,130,000 | ~RM990,000 |
| Liputan | Berterusan, dalaman | Berkala, bebas |
Keperluan Kebebasan Audit
Salah satu sebab terkuat untuk menggunakan penyumberan luar ialah jangkaan pengawal selia dan juruaudit terhadap kebebasan penguji. BNM RMiT secara tradisi menjangkakan pentest dilakukan oleh pasukan yang bebas daripada CIO dan pasukan pembangunan. Dalam amalan, pasukan dalaman yang melapor kepada CIO yang sama tidak memenuhi standard ini.
ISO 27001 (kawalan A.12.6.1) menjangkakan pengurusan kerentanan teknikal, dan dalam amalan, ini termasuk ujian bebas. Juruaudit luar sering bertanya, 'siapakah yang menjalankan pentest ini dan kepada siapakah mereka melapor?'. Jawapan 'pasukan dalaman yang melapor kepada CIO' kerap mencetuskan penemuan audit tentang kelemahan kebebasan.
Keperluan 11.3 PCI DSS lebih eksplisit: penguji mesti 'berkelayakan' dan 'terpisah dari segi organisasi daripada pihak yang menguruskan sistem yang diuji'. Bagi peniaga pembayaran, ini selalunya bermaksud pembekal luar.
Bilakah Pasukan Dalaman Masuk Akal?
Walaupun kosnya tinggi dan kebebasan menjadi cabaran, pasukan dalaman memberikan nilai dalam beberapa konteks. Bank besar dan syarikat berkaitan kerajaan (GLC) yang kritikal yang mampu membina pasukan yang terdiri daripada 5 jurutera atau lebih dengan pengurusan berasingan boleh mencapai kebebasan dalaman melalui pemisahan organisasi yang ketat.
Pasukan dalaman juga memberikan nilai operasi yang tidak dapat diberikan oleh pembekal: pemahaman mendalam tentang produk, kehadiran berterusan untuk soalan keselamatan harian, keupayaan menyemak model ancaman bagi setiap ciri baharu, dan respons insiden segera.
Kebanyakan organisasi yang menghadapi ancaman serius dan berterusan (institusi kewangan utama, telekomunikasi dan utiliti) menggunakan model hibrid: pasukan dalaman untuk operasi harian, manakala pembekal luar untuk audit tahunan dan pasukan merah. Kosnya ialah gabungan kedua-dua pihak, tetapi tahap perlindungan jauh lebih tinggi.
Model Hibrid yang Berfungsi
Bagi kebanyakan organisasi bersaiz sederhana hingga besar di Malaysia, model hibrid memberikan keseimbangan terbaik antara kos, kawalan dan pematuhan. Komponen lazimnya ialah satu atau dua jurutera keselamatan dalaman yang menjalankan pengurusan kerentanan, semakan kod, pemodelan ancaman dan penerimaan teknikal pembekal. Pembekal luar pula menjalankan pentest tahunan, audit pematuhan dan latihan pasukan merah.
Kos hibrid bagi organisasi bersaiz sederhana: ~RM800,000–RM1,200,000 setahun (1–2 jurutera dalaman dan penyumberan luar secara terpilih). Kos ini lebih tinggi daripada penyumberan luar sepenuhnya, tetapi memberikan kapasiti operasi yang tidak dapat disediakan oleh penyumberan luar semata-mata.
Kunci kepada model hibrid yang berjaya ialah kejelasan peranan. Pasukan dalaman tidak menggantikan pembekal. Mereka menjadi pengurus akaun teknikal yang membolehkan pembekal bekerja dengan lebih berkesan. Pembekal pula menyediakan kebebasan, alat khusus dan risikan ancaman yang sukar dikekalkan oleh pasukan dalaman yang kecil.
Peranan vCISO sebagai Jambatan Strategik
Banyak organisasi bersaiz sederhana tidak mampu menggaji CISO sepenuh masa (gaji RM30,000–RM50,000 sebulan bagi profil kanan). vCISO (CISO maya atau CISO separa masa) memberikan kepimpinan strategik selama 2–5 hari sebulan pada kos RM15,000–RM40,000 sebulan, bergantung pada skop.
Tugas biasa vCISO termasuk menetapkan strategi keselamatan, membuat pembentangan kepada lembaga pengarah dan jawatankuasa risiko, mengurus hubungan dengan juruaudit dan pengawal selia, serta menyelaraskan kerja antara pasukan dalaman dengan pembekal luar. vCISO tidak melakukan kerja pentest sendiri, tetapi memastikan program pentest selaras dengan keperluan perniagaan dan risiko.
Bagi PKS dan syarikat bersaiz sederhana di Malaysia, gabungan vCISO, 1 jurutera keselamatan dalaman dan pembekal pentest luar ialah model yang sangat berkesan. Model ini memberikan kepimpinan, kapasiti operasi dan kebebasan audit pada kos yang munasabah.
Bacaan Lanjut dan Perkhidmatan nCrypt
Soalan Lazim
Adakah bakat pentest tempatan mencukupi di Malaysia?
Bakat pentest di Malaysia terhad, tetapi masih boleh diperoleh. Penguji kanan yang memiliki OSCP dan berpengalaman 5 tahun ke atas merupakan sumber yang sangat dicari, dengan gaji yang meningkat dengan cepat dalam tempoh 3 tahun lalu. Penguji muda lebih mudah dicari, tetapi pelaburan latihan untuk membawa mereka ke tahap kanan adalah ketara (12–18 bulan, termasuk pelaburan sijil). Banyak syarikat di Malaysia menghadapi kadar pusing ganti pekerja yang tinggi: penguji muda dilatih, memperoleh OSCP, kemudian berpindah ke firma yang lebih besar atau ke Singapura demi gaji 2–3 kali ganda lebih tinggi. Model penyumberan luar atau model hibrid mengelakkan risiko ini dengan menukar perbelanjaan modal kepada perbelanjaan operasi.
Bolehkah pasukan dalaman memenuhi keperluan CREST?
Boleh dari segi teori, tetapi mahal dalam amalan. CREST mempunyai dua peringkat: sijil individu (CRT, CCT, CHECK Team Member/Leader) dan sijil firma (syarikat ahli CREST). Sijil individu boleh diperoleh oleh mana-mana penguji yang lulus peperiksaan. Sijil firma pula memerlukan firma lulus audit organisasi yang merangkumi metodologi, kualiti, tadbir urus dan kesinambungan. Banyak organisasi tidak akan menjalani audit firma CREST untuk pasukan dalaman kerana usahanya yang besar. Inilah salah satu sebab penyumberan luar kepada firma bersijil CREST ialah jalan praktikal untuk memenuhi keperluan CREST.
Adakah penyumberan luar bermakna kami kehilangan kawalan?
Tidak, jika perjanjian disusun dengan betul. Penyumberan luar yang berkesan memberi anda kawalan yang lebih besar kerana anda menjadi pembeli yang menetapkan keperluan. Pembekal yang baik akan: (1) memberikan akses terus kepada jurutera, bukan melalui pengurus akaun sahaja, (2) berkongsi metodologi mereka secara terbuka, (3) memberikan eksport penuh penemuan dalam format yang boleh anda gunakan (JSON, Markdown, integrasi Jira), dan (4) tidak menahan harta intelek (IP) pelanggan. Perkara yang hilang ialah 'kawalan harian' ke atas individu, dan ironinya, hal ini sering merugikan kerana membawa kepada konflik antara keselamatan dengan penyampaian projek. Pembekal luar yang baik bebas dari segi struktur dan membantu pasukan anda.
Berbincang dengan Pasukan nCrypt
Pasukan kami yang sejajar dengan CREST membantu institusi kewangan, agensi kerajaan dan PKS Malaysia merancang ujian penembusan, pematuhan dan respons insiden. Dapatkan sebut harga atau tempah perbincangan percuma hari ini.